Power Virtual Agent与Power Automate加密字符串防密码泄露咨询

针对当前Power Automate存储流执行历史、管理员可直接查看用户提交明文密码的风险，可按实际场景选择以下落地方案，改造成本从低到高排序：

• 启用流操作的原生敏感数据保护（优先选择，改造成本最低）
  Power Platform本身提供了敏感字段掩码能力，不需要调整现有业务流程：
  1. 打开对应密码修改流，定位到所有接触密码字段的操作：包括接收Power Virtual Agent传入参数的流触发步骤、调用Graph更改密码接口的HTTP请求步骤，以及所有中间引用密码值的处理步骤
  2. 逐个进入上述操作的设置面板，打开安全输入、安全输出两个开关后保存流配置
  3. 配置生效后，所有标记为安全的字段在流运行历史中会被自动替换为***掩码，租户管理员、环境管理员均无法从运行记录中查看原始密码明文

  注意：不要将密码值赋值给流内的普通字符串变量，普通变量不会被安全设置保护，容易在其他未开安全配置的步骤中把明文泄露到运行日志里。

• 架构调整避免密码经过Power Automate中转（安全性最高）
  为Power Virtual Agent配置Azure AD单点登录，用户与机器人交互时会直接完成身份认证，拿到对应自身权限的访问令牌：
  1. 取消将用户输入的当前密码、新密码作为参数传递给Power Automate流的逻辑
  2. 在PVA的对话画布侧（自定义网页画布可通过前端脚本实现，原生托管画布可搭配PVA的低代码客户端逻辑），直接携带用户的授权令牌调用https://graph.microsoft.com/v1.0/me/changePassword接口完成密码修改
  3. 整个密码传输、提交的链路完全不经过Power Automate引擎，从根源上杜绝流运行历史记录敏感数据的风险
• 上线前做敏感数据泄露校验
  配置完成后必须做验证：
  1. 提交测试密码触发完整流程，进入流运行历史逐步骤检查，确认所有密码相关字段均已被掩码，无明文暴露
  2. 排查流内所有其他操作（包括发送结果通知、写入审计日志、同步数据到第三方系统的步骤），确认没有任何逻辑引用密码字段，避免业务设计缺陷导致的敏感数据泄露

内容的提问来源于stack exchange，提问作者Manu